Como dividir arquivos tcpdump grandes

Question

Existe algo que pode dividir o arquivo tcpdump após a captura e garantir que as quebras estão na borda dos dados do pacote?

Como -C , mas depois do fato.

    

Answer 1

Eu usei editcap no passado, com grande sucesso.

editcap -c 1000 large-in.pcap smaller-out

Esse comando deve gerar um ou mais arquivos chamados smaller-out-00000 , smaller-out-00001 e assim por diante, contendo os primeiros, segundo, etc. mil arquivos do arquivo de entrada.

    

Answer 2

O

TCPSplit fará isso. Ele até garante que você não perca as sessões TCP no intervalo.

    

Answer 3

Você pode usar editcap para dividir com base no número de pacotes (ou intervalo de tempo), ou se realmente precisar dividir com base no tamanho, tente este script .

    

Answer 4

Você já olhou para csplit ?

    

Answer 5

Para simplesmente dividir para um tamanho gerenciável, você deve ser capaz de fazer isso com o próprio tcpdump, usando as opções -C, -w e -r. mas eu não tentei isso.